Cisco IE 3000 スイッチ コマンド リファレンス

 

シンタックスの説明

 

デフォルト

AAA アカウンティングはディセーブルです。

 

コマンドの履歴

 

使用上のガイドライン

このコマンドは、RADIUS サーバへのアクセスが必要です。

インターフェイスに IEEE 802.1x RADIUS アカウンティングを設定する前に、dot1x reauthentication インターフェイス コンフィギュレーション コマンドを入力することを推奨します。

例

次の例では、IEEE 802.1x アカウンティングを設定する方法を示します。

（注） RADIUS 認証サーバは、AAA クライアントからの更新またはウォッチドッグ パケットを受け入れてロギングするように、適切に設定されている必要があります。

 

関連コマンド

 

シンタックスの説明

（注） 他のキーワードがコマンドラインのヘルプ ストリングに表示されますが、サポートされているのは default および group radius キーワードだけです。

 

デフォルト

認証は実行されません。

 

コマンドの履歴

 

使用上のガイドライン

method 引数には、認証アルゴリズムがクライアントからのパスワードを確認するために一定の順序で試みる方式を指定します。実際に IEEE 802.1x に準拠している唯一の方式は、クライアント データが RADIUS 認証サーバに対して確認される group radius 方式です。

group radius を指定した場合、 radius-server host グローバル コンフィギュレーション コマンドを使用して RADIUS サーバを設定する必要があります。

設定された認証方式のリストを表示するには、 show running-config 特権 EXEC コマンドを使用します。

例

次の例では、AAA をイネーブルにして IEEE 802.1x 準拠の認証リストを作成する方法を示します。この認証は、最初に RADIUS サーバとの交信を試行します。この動作でエラーが返信された場合、ユーザはネットワークへのアクセスが許可されません。

設定を確認するには、 show running-config 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

認証はディセーブルです。

 

コマンドの履歴

 

使用上のガイドライン

スイッチが、デフォルトの認証リスト内にある RADIUS サーバから IEEE 802.1x 認証パラメータをダウンロードできるようにするには、aaa authorization network default group radius グローバル コンフィギュレーション コマンドを使用します。認証パラメータは、ユーザごとの ACL または VLAN 割り当てなど、RADIUS サーバからパラメータを取得する機能で使用されます。

設定された認証方式リストを表示するには、 show running-config 特権 EXEC コマンドを使用します。

例

この例では、すべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を行うようスイッチを設定する方法を示します。

設定を確認するには、 show running-config 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのアクションは、パケットの転送です。

 

コマンドの履歴

 

使用上のガイドライン

vlan access-map グローバル コンフィギュレーション コマンド を使用して、アクセスマップ コンフィギュレーション モードを開始します。

アクションが drop の場合は、一致条件にアクセス コントロール リスト（ACL）名を設定後、そのマップを VLAN に適用してアクセス マップを定義する必要があります。定義しない場合、すべてのパケットがドロップされることがあります。

アクセス マップ コンフィギュレーション モードでは、 match アクセス マップ コンフィギュレーション コマンドを使用して、VLAN マップの一致条件を定義できます。 action コマンドを使用すると、パケットが条件に一致したときに実行するアクションを設定できます。

drop および forward の各パラメータは、このコマンドの no 形式では使用されません。

例

次の例では、VLAN アクセス マップ vmap4 を指定し VLAN 5 と VLAN 6 に適用する方法を示します。このアクセス マップは、パケットがアクセス リスト al2 に定義された条件に一致する場合に、VLAN がその IP パケットを転送するように指定します。

設定を確認するには、 show vlan access-map 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのしきい値は 10% です。

 

コマンドの履歴

 

使用上のガイドライン

ヒステリシスしきい値を設定すると、設定されたレートの近くまで FCS ビットエラー レートが変動した場合にアラームがトリガーされます。

FCS ヒステリシスしきい値はスイッチすべてのポートで設定します。FCS エラー レートは fcs-threshold インターフェイス コンフィギュレーション コマンドを使用してポート単位で設定します。

しきい値がデフォルト値ではない場合、 show running-config 特権 EXEC コマンドの出力に表示されます。

例

次の例では、FCS エラー ヒステリシスを 5% に設定する方法を示します。ビット エラー レートが設定した FCS ビットエラー レートを 5% 超過するとアラームがトリガーされます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

電源アラーム メッセージは保存されますが、SNMP サーバ、リレー、または syslog サーバに送信されません。

 

コマンドの履歴

 

使用上のガイドライン

電源アラームは、システムがデュアル電源モードの場合にのみ生成されます。2 つ目の電源が接続された場合、 power-supply dual グローバル コンフィギュレーション コマンドを使用してデュアル電源モードの動作を設定します。

キーワード notifies を使用してアラーム トラップを SNMP ホストに送信する前に、snmp-server enable traps グローバル コンフィギュレーション コマンドを使用して SNMP サーバを設定してください。

例

次の例では、電源モニタリング アラームをマイナー リレー回路に送信する設定方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

プライマリ温度アラームは -4 ～ 203oF（-20 ～ 95oC）の範囲でイネーブルになっており、ディセーブルにできません。アラームはメジャー リレーに関連付けられています。セカンダリ温度アラームはデフォルトでディセーブルになっています。

 

コマンドの履歴

 

使用上のガイドライン

プライマリ温度アラームは自動的にイネーブルになります。アラームはディセーブルにできませんが、アラーム オプションを設定できます。

プライマリ温度アラームの範囲は、high および low キーワードを使用して設定できます。

セカンダリ温度アラームを使用してプライマリ温度の高温しきい値（203oF（95oC））より低い高温アラームをトリガーできます。温度しきい値とアラーム オプションを設定できます。

notifies キーワードを使用してアラーム トラップを SNMP ホストに送信する前に、snmp-server enable traps グローバル コンフィギュレーション コマンドを使用して SNMP サーバを設定してください。

例

次の例では、セカンダリ温度の高温しきい値に 113oF（45oC）とアラームを設定し、トラップをマイナー リレー回路、syslog、および SNMP サーバに送信する方法を示します。

次の例では、セカンダリ温度アラームをディセーブルにする方法を示します。

次の例では、プライマリ温度アラームを設定し、syslog とメジャー リレー回路にアラームとトラップを送信する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

アラーム プロファイルは作成されません。

プロファイルを作成しても、アラームは 1 つもイネーブルになりません。

 

コマンドの履歴

 

使用上のガイドライン

アラームプロファイル コンフィギュレーション モードでは、次のコマンドが使用できます。

• alarm alarm-id ：特定のアラームがイネーブルになります。

• exit ：アラームプロファイル コンフィギュレーション モードを終了します。

• help ：インタラクティブ ヘルプ システムの説明が表示されます。

• no： コマンドを無効にするか、デフォルトに設定します。

• notifies alarm-id： アラームの通知がイネーブルになり、Simple Network Management Protocol（SNMP;簡易ネットワーク管理プロトコル）トラップが SNMP サーバに送信されます。

• relay-major alarm-id ：アラームがメジャー リレー回路に送信されます。

• relay-minor alarm-id： アラームがマイナー リレー回路に送信されます。

• syslog alarm-id： アラームが syslog ファイルに送信されます。

alarm-id には、アラーム ID を 1 つまたはスペースで区切って複数入力します。

キーワード notifies を使用してアラーム トラップを SNMP ホストに送信する前に、snmp-server enable traps グローバル コンフィギュレーション コマンドを使用して SNMP サーバを設定してください。

インターフェイスにはすべて、デフォルト プロファイルが存在します。 show alarm profile ユーザ EXEC コマンドを入力して defaultPort の出力を確認してください。

表 2-1 では、アラーム ID と対応するアラームの説明を示します。

アラーム プロファイルを作成すると、 alarm-profile インターフェイス コンフィギュレーション コマンドを使用して、プロファイルをインターフェイスに関連付けられます。

デフォルトでは、 defaultPort プロファイルはすべてのインターフェイスに適用されます。このプロファイルによって、ポートが動作していない（3）アラームのみがイネーブルになります。このプロファイルは、 alarm profile defaultPort グローバル コンフィギュレーション コマンドを使用し、アラーム プロファイル コンフィギュレーション モードを開始して変更できます。

例

次の例では、ポートのリンク障害（アラーム 1）とポートでフォワーディングされない（アラーム 2）アラームがイネーブルのアラーム プロファイル fastE を作成する方法を示します。リンク障害アラームはマイナー リレー回路に関連付けられており、ポートでフォワーディングされないアラームはメジャーリレー回路に関連付けられてます。このアラームは SNMP サーバに送信され、システム ログ ファイル（syslog）に書き込まれます。

次の例では、my-profile という名前のアラーム リレー プロファイルを削除する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

アラーム プロファイル defaultPort がすべてのインターフェイスに適用されています。このプロファイルでは、ポートが動作していないアラームのみがイネーブルです。

 

コマンドの履歴

 

使用上のガイドライン

アラーム プロファイルを作成して、アラームを 1 つ以上イネーブルにし、アラーム オプションを指定するには、 alarm profile グローバル コンフィギュレーション コマンドを使用します。

インターフェイスに関連付けられるアラーム プロファイルは 1 つのみです。

アラーム プロファイルをインターフェイスに関連付けると、すでに関連付けられていたアラーム プロファイルは上書きされます（ defaultPort プロファイルを含む）。

例

次の例では、ポートにアラーム プロファイル fastE を関連付ける方法を示します。

次の例では、ポートからアラーム プロファイルの関連付けを解除して、 defaultPort プロファイルに戻す方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、アラーム リレーがオープンされると、ポジティブ モードに設定されます。スイッチの電源がオフの場合、アラーム リレーはすべてオープンです。アラーム イベントが 1 つ以上検出されると、アラーム リレーはクローズされます。

 

コマンドの履歴

 

使用上のガイドライン

アラーム リレーの動作を元に戻すには、このコマンドを使用します。アラーム リレー モードがネガティブに設定されている場合、アラーム リレーは通常クローズされています。アラーム イベントが 1 つ以上検出されると、該当するアラーム リレーがオープンされます。

例

次の例では、アラーム リレーをネガティブ モードに設定する方法を示します。

Switch(config)# alarm relay-mode negative

 

関連コマンド

 

シンタックスの説明

 

デフォルト

現在のソフトウェア イメージは、ダウンロードされたイメージでは上書きされません。

ソフトウェア イメージと HTML ファイルの両方がダウンロードされます。

新しいイメージは flash: ファイル システムにダウンロードされます。

BOOT 環境変数は、flash: ファイル システムの新しいソフトウェア イメージを指定するよう変更されます。

イメージ名では大文字と小文字が区別されます。イメージ ファイルは tar 形式で提供されます。

 

コマンドの履歴

 

使用上のガイドライン

ディレクトリを一時的に指定するには、 archive download-sw /directory コマンドを使用します 。

/imageonly オプションは、既存のイメージが削除または置き換えられている場合に、既存のイメージの HTML ファイルを削除します。（HTML ファイルのない）Cisco IOS イメージだけがダウンロードされます。

/safe または /leave-old-sw オプションを使用した場合に、十分なフラッシュ メモリがないと、新しいイメージのダウンロードに失敗する場合があります。ソフトウェアを残すことによってフラッシュ メモリの空き容量が不足し、新しいイメージが入りきらなかった場合に、エラーが発生します。

/leave-old-sw オプションを使用したために、新しいイメージをダウンロードしても古いイメージを上書きしなかった場合、 delete 特権 EXEC コマンドを使用して古いイメージを削除することができます。詳細については、「delete」を参照してください。

フラッシュ デバイスのイメージを、ダウンロードされたイメージで上書きするには、 /overwrite オプションを使用します。

/overwrite オプション なし でこのコマンドを指定する場合、ダウンロード アルゴリズムは、新しいイメージが、スイッチ フラッシュ デバイスのイメージと同じではないことを確認します。イメージが同じである場合は、ダウンロードは行われません。イメージが異なっている場合、古いイメージは削除され、新しいイメージがダウンロードされます。

新しいイメージをダウンロードしたあとで、 reload 特権 EXEC コマンドを入力して新しいイメージの使用を開始するか、 archive download-sw コマンドの /reload または /force-reload オプションを指定してください。

/directory オプションを使用すると、イメージのディレクトリを指定できます。

例

次の例では、172.20.129.10 の TFTP サーバから新しいイメージをダウンロードし、スイッチのイメージを上書きする方法を示します。

次の例では、172.20.129.10 の TFTP サーバからソフトウェア イメージだけをスイッチにダウンロードする方法を示します。

次の例では、ダウンロードに成功したあとで古いソフトウェア バージョンを保存する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定はありません。

 

コマンドの履歴

 

使用上のガイドライン

ファイル名およびディレクトリ名では、大文字と小文字が区別されます。

イメージ名では、大文字と小文字が区別されます。

例

次の例では、tar ファイルを作成する方法を示します。このコマンドはローカル フラッシュ デバイスの new-configs ディレクトリの内容を、172.20.10.30 の TFTP サーバの saved.tar という名前のファイルに書き込みます。

次の例では、フラッシュ メモリ内にあるファイルの内容を表示する方法を示します。tar ファイルの内容が画面に表示されます。

次の例では、 /html ディレクトリとその内容のみを表示する方法を示します。

次の例では、172.20.10.30 の TFTP サーバ上にある tar ファイルの内容を抽出する方法を示します。このコマンドは、 new-configs ディレクトリだけを、ローカル フラッシュ ファイル システムのルート（root）ディレクトリに抽出します。 saved.tar ファイルの残りのファイルは無視されます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

flash: ファイル システムから現在稼動中のイメージをアップロードします。

 

コマンドの履歴

 

使用上のガイドライン

組み込みデバイス マネージャに関連付けられている HTML ファイルが既存のイメージとともにインストールされている場合にだけ、アップロード機能を使用します。

ファイルは、Cisco IOS イメージ、HTML ファイル、info の順にアップロードされます。これらのファイルがアップロードされると、ソフトウェアは tar ファイルを作成します。

イメージ名では、大文字と小文字が区別されます。

例

次の例では、現在実行中のイメージを、172.20.140.2 の TFTP サーバへアップロードする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ARP アクセス リストが定義されていません。

 

コマンドの履歴

 

使用上のガイドライン

arp access-list コマンドを入力すると、ARP アクセス リスト コンフィギュレーション モードに入り、次のコンフィギュレーション コマンドが使用可能になります。

• default ：コマンドをデフォルト設定に戻します。

• deny ：拒否するパケットを指定します。詳細については、「deny (ARP access-list configuration)」を参照してください。

• exit ：ARP アクセス リスト コンフィギュレーション モードを終了します。

• no ：コマンドを無効にするか、またはデフォルト設定に戻します。

• permit ：転送するパケットを指定します。詳細については、「permit (ARP access-list configuration)」を参照してください。

指定された一致条件に基づいて ARP パケットを転送またはドロップするには、 permit または deny アクセス リスト コンフィギュレーション コマンドを使用します。

ARP ACL が定義されると、 ip arp inspection filter vlan グローバル コンフィギュレーション コマンドを使用して VLAN に ARP ACL を適用できます。IP/MAC アドレス バインディングだけを含む ARP パケットが ACL と比較されます。それ以外のタイプのパケットはすべて検証なしで入力 VLAN でブリッジングされます。パケットが ACL で許可されると、スイッチはそのパケットを転送します。明示的拒否ステートメントによって ACL がパケットを拒否すると、スイッチがパケットをドロップします。暗黙拒否ステートメントによって ACL がパケットを拒否すると、スイッチはパケットを DHCP バインディングのリストと比較します。ただし、ACL が スタティック （パケットがバインディングと比較されない）である場合を除きます。

例

次の例では、ARP アクセス リストを定義し、IP アドレスが 1.1.1.1 で MAC アドレスが 0000.0000.abcd のホストからの ARP 要求と ARP 応答の両方を許可する方法を示します。

設定を確認するには、 show arp access-list 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

スイッチは、RADIUS Change of Authorization（CoA） bounce port コマンドを受け入れます。

 

コマンドの履歴

 

使用上のガイドライン

CoA bounce port コマンドによってリンク フラップが発生し、DHCP の再ネゴシエーションがホストからトリガーされます。これは、VLAN で変更が発生し、エンドポインが変更を検出するサプリカントを備えないプリンタなどのデバイスの場合に便利です。 bounce port コマンドを無視するようにスイッチを設定するには、このコマンドを使用します。

例

次の例では、スイッチで CoA bounce port コマンドを無視する方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

スイッチは、RADIUS Change of Authorization（CoA） disable port コマンドを受け入れます。

 

コマンドの履歴

 

使用上のガイドライン

CoA disable port コマンドによって、セッションをホストするポートを管理的にシャット ダウンして、セッションを終了します。このコマンドを無視するようにスイッチを設定するには、このコマンドを使用します。

例

次の例では、スイッチで CoA disable port コマンドを無視する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ポートは双方向モードに設定されています。

 

コマンドの履歴

 

使用上のガイドライン

デフォルト設定（双方向モード）に戻すには、このコマンドの both キーワードまたは no 形式を使用します。

例

次の例では、双方向モードをイネーブルにする方法を示します。

次の例では、単一方向モードをイネーブルにする方法を示します。

設定を確認するには、 show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ポート上でイベント応答が設定されていません。

 

コマンドの履歴

 

使用上のガイドライン

特定のアクションに対するスイッチの応答を設定するには、このコマンドに fail、no-response、または event キーワードを指定します。

server-dead イベントの場合：

• スイッチが critical-authentication ステートに移行すると、認証を実施しようとしている新しいホストがクリティカル認証 VLAN（またはクリティカルな VLAN）に移行します。これは、ポートがシングルホスト モード、マルチホスト モード、マルチ認証モード、MDA モードのいずれの場合も適用されます。認証されたホストは認証された VLAN に残り、再認証タイマーはディセーブルになります。

• クライアントで Windows XP が稼動し、クライアントの接続先のクリティカル ポートが critical-authentication ステートである場合、Windows XP はインターフェイスが認証されていないことをレポートします。

Windows XP クライアントが DHCP に設定されており、DHCP サーバから IP アドレスが割り当てられていると、クリティカル ポートが EAP 認証成功メッセージを受信しても、DHCP 設定プロセスで再初期化が実行されない場合があります。

no-response イベントの場合：

• IEEE 802.1x ポート上でゲスト VLAN をイネーブルにした場合、認証サーバが Extensible Authentication Protocol over LAN（EAPOL）Request/Identity フレームに対する応答を受信しないか、または EAPOL パケットがクライアントから送信されないと、スイッチはクライアントをゲスト VLAN に割り当てます。

• スイッチは、EAPOL パケット履歴を保持します。リンクの有効期間中に別の EAPOL パケットがポート上で検出されると、ゲスト VLAN 機能がディセーブルになります。ポートがすでにゲスト VLAN ステートにある場合、ポートは無許可ステートに戻り、認証が再開されます。EAPOL 履歴は消去されます。

• スイッチ ポートがゲスト VLAN（マルチホスト モード）に移行すると、複数の IEEE 802.1x 非対応クライアントがアクセスを許可されます。ゲスト VLAN が設定されているポートに IEEE 802.1x 対応クライアントが加入すると、そのポートが RADIUS 設定 VLAN またはユーザ設定アクセス VLAN で無許可ステートに移行し、認証が再開されます。

Remote Switched Port Analyzer（RSPAN; リモート スイッチド ポート アナライザ）VLAN、プライマリ プライベート VLAN、音声 VLAN 以外のアクティブな VLAN をすべて、IEEE 802.1x のゲスト VLAN として設定できます。ゲスト VLAN の機能は、アクセス ポートでのみサポートされています。内部 VLAN（ルーテッド ポート）とトランク ポートではサポートされていません。

• MAC 認証バイパスが IEEE 802.1x ポートでイネーブルになっている場合、EAPOL メッセージ交換の待機中に IEEE802.1x 認証が期限切れになると、スイッチはクライアントの MAC アドレスに基づいてクライアントを許可できます。スイッチは、IEEE 802.1x ポート上のクライアントを検出したあとで、クライアントからのイーサネット パケットを待機します。スイッチは、MAC アドレスに基づいたユーザ名およびパスワードを持つ RADIUS-access/request フレームを認証サーバに送信します。

– 認証に成功すると、スイッチはクライアントにネットワークへのアクセスを許可します。

– 認証に失敗すると、スイッチはポートにゲスト VLAN を割り当てます（指定されていない場合）。

詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with MAC Authentication Bypass」を参照してください。

authentication-fail イベントの場合：

• サプリカントが認証に失敗すると、ポートが制限 VLAN に移行し、EAP 認証成功メッセージがサプリカントに送信されます。これは、サプリカントに実際の認証失敗が通知されないためです。

– EAP の成功メッセージが送信されない場合、サプリカントは 60 秒ごと（デフォルト）に EAP 開始メッセージを送信して認証を行おうとします。

– 一部のホスト（たとえば、Windows XP を実行中のデバイス）は、EAP の成功メッセージを受け取るまで Dynamic Host Configuration Protocol（DHCP）を実行できません。

制限 VLAN は、シングルホスト モード（デフォルトのポート モード）でのみサポートされます。ポートが制限 VLAN に配置されると、サプリカントの MAC アドレスが MAC アドレス テーブルに追加されます。ポート上のその他の MAC アドレスはセキュリティ違反として扱われます。

• レイヤ 3 ポートの内部 VLAN は制限 VLAN として設定できません。1 つの VLAN を制限 VLAN と音声 VLAN の両方として指定することはできません。

制限 VLAN での再認証をイネーブルにします。再認証がディセーブルになっていると、制限 VLAN 内のポートは認証要求を受信しません。

再認証プロセスを開始するには、制限 VLAN がポートからリンクダウン イベントまたは Extensible Authentication Protocol（EAP）ログオフ イベントを受け取る必要があります。ホストがハブを介して接続されている場合は、次の動作が発生する可能性があります。

– ホストが切断されているとポートがリンクダウン イベントを受け取らない

– 次の再認証が実行されるまでポートが新しいホストを検出しない

制限 VLAN をタイプの異なる VLAN として再設定すると、制限 VLAN のポートは現在許可されたステートのまま移行します。

例

次の例では、authentication event fail コマンドを設定する方法を示します。

次の例では、no-response アクションを設定する方法を示します。

次の例では、server-response アクションを設定する方法を示します。

次の例では、RADIUS サーバが使用できないときに新規ホストおよび既存ホストをクリティカルな VLAN に送るようにポートを設定する方法を示します。マルチ認証（multiauth）モードまたはポートの音声ドメインが MDA モードの場合に、このコマンドを使用します。

次の例では、RADIUS サーバが使用できないときに新規ホストおよび既存ホストをクリティカルな VLAN に送るようポートを設定する方法を示します。マルチホスト モードまたはマルチ認証（multiauth）モードのポートに、このコマンドを使用します。

設定を確認するには、 show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

フォールバックはイネーブルではありません。

 

コマンドの履歴

 

使用上のガイドライン

フォールバック方式を設定する前に、authentication port-control auto インターフェイス コンフィギュレーション コマンドを入力する必要があります。

Web 認証は、802.1x または MAB フォールバック方式としてのみ設定できます。したがって、これらの認証方式の一方または両方を、イネーブルにするフォールバック方式として設定する必要があります。

例

次の例では、ポート上でフォールバック プロファイルを指定する方法を示します。

設定を確認するには、 show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

シングルホスト モードがイネーブルになっています。

 

コマンドの履歴

 

使用上のガイドライン

1 つのデータ ホストしか接続されていない場合は、シングルホスト モードに設定する必要があります。単一ホスト ポート上での認証用に音声デバイスを接続しないでください。ポート上に音声 VLAN が設定されていないと、音声デバイスの許可が正常に実行されません。

データ ホストが IP Phone を経由してポートに接続されている場合は、マルチドメイン モードに設定する必要があります。音声デバイスを認証する必要がある場合は、マルチドメイン モードに設定する必要があります。

ハブの背後に最大 8 台のデバイスを配置し、それぞれを認証してポート アクセスのセキュリティを確保できるようにするには、マルチ認証モードに設定する必要があります。音声 VLAN が設定されている場合は、このモードで認証できる音声デバイスは 1 台だけです。

マルチホスト モードでは、ハブの背後にある複数のホストへのポート アクセスに対応していますが、最初のユーザの認証後にこれらのデバイスへのポート アクセスが無制限になります。

例

次の例では、ポートのマルチ認証モードをイネーブルにする方法を示します。

次の例では、ポートのマルチドメイン モードをイネーブルにする方法を示します。

Switch(config-if)# authentication host-mode multi-domain

次の例では、ポートのマルチホスト モードをイネーブルにする方法を示します。

Switch(config)# authentication host-mode multi-host

次の例では、ポートのシングルホスト モードをイネーブルにする方法を示します。

Switch(config-if)# authentication host-mode single-host

設定を確認するには、 show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

MAC 移動はイネーブルです。

 

コマンドの履歴

 

使用上のガイドライン

このコマンドを使用すると、スイッチの 802.1x 対応ポート間で認証ホストを移動できます。たとえば、認証ホストとポートの間にデバイスが設置されており、ホストが他のポートに移動すると、最初のポートから認証セッションが削除され、ホストは新しいポートで再認証されます。

MAC 移動がディセーブルで、認証されたホストが他のポートに移動すると、再認証は実行されず、違反エラーが発生します。

MAC 移動はポートセキュリティがイネーブルにされた 802.1x ポートではサポートされません。MAC 移動がスイッチでグローバルに設定されており、ポートセキュリティがイネーブルにされたホストが 802.1x 対応のポートに移動すると、違反エラーが発生します。

例

次の例では、スイッチで MAC 移動をイネーブルにする方法を示します。

 

関連コマンド

 

デフォルト

オープン アクセスがディセーブルになっています。

 

コマンドの履歴

 

使用上のガイドライン

認証の前にデバイスでネットワーク アクセスが必要となる場合は、オープン認証をイネーブルにする必要があります。

ポート ACL を使用して、オープン認証がイネーブルになっている場合にホスト アクセスを制限する必要があります。

例

次の例では、ポートのオープン アクセスをイネーブルにする方法を示します。

次の例では、オープン アクセスをディセーブルにするようにポートを設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

コマンドのデフォルト

デフォルトの認証順序は、dot1x、mab、webauth となっています。

 

コマンドの履歴

 

使用上のガイドライン

順序付けによって、スイッチのポートに新しいデバイスを接続した場合に試行される認証方式の順序が決まります。リスト内の 1 つの認証方式の試行に失敗すると、次の方式が試行されます。

それぞれの認証方式は一度しか入力できません。802.1x と MAB の間でのみ柔軟な順序付けが可能です。

Web 認証は、スタンドアロン方式か、または 802.1x や MAB よりも後の最後の方式として設定できます。Web 認証は、dot1x または mab のフォールバックとしてのみ設定する必要があります。

例

次の例では、802.1x を最初の認証方式として、MAB を 2 番目の認証方式として、Web 認証を 3 番目の認証方式として追加する方法を示します。

次の例では、MAB を最初の認証方式として、Web 認証を 2 番目の認証方式として追加する方法を示します。

設定を確認するには、show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

コマンドのデフォルト

再認証がディセーブルになっています。

 

コマンドの履歴

 

使用上のガイドライン

定期的に再認証を試行する間隔を設定するには、authentication timer reauthentication インターフェイス コンフィギュレーション コマンドを使用します。

例

次の例では、ポート上で定期的な再認証をイネーブルにする方法を示します。

次の例では、ポート上で定期的な再認証をディセーブルにする方法を示します。

設定を確認するには、show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの設定は force-authorized です。

 

コマンドの履歴

 

使用上のガイドライン

次のポート タイプのいずれか 1 つに対してだけ auto キーワードを使用します。

• トランク ポート：トランク ポート上で IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。IEEE 802.1x 対応ポートのモードをトランクに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。

• ダイナミック ポート：ダイナミック ポートは、ネイバーとネゴシエートしてトランク ポートになる場合があります。ダイナミック ポート上で IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートのモードをダイナミックに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。

• ダイナミック アクセス ポート：ダイナミック アクセス（VLAN Query Protocol [VQP]）ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートをダイナミック VLAN に変更しようとしても、エラー メッセージが表示され、VLAN 設定は変更されません。

• EtherChannel ポート：アクティブまたはアクティブでない EtherChannel メンバーを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。

• Switched Port Analyzer（SPAN; スイッチド ポート アナライザ）および Remote SPAN（RSPAN; リモート SPAN）宛先ポート：SPAN または RSPAN 宛先ポートであるポートの IEEE 802.1x 認証をイネーブルにすることができます。ただし、そのポートが SPAN または RSPAN 宛先として削除されるまで、IEEE 802.1x 認証はディセーブルのままになります。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにすることができます。

スイッチの IEEE 802.1x 認証をグローバルにディセーブルにするには、no dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用します。特定のポート上で IEEE 802.1x 認証をディセーブルにするか、またはデフォルト設定に戻すには、no authentication port-control インターフェイス コンフィギュレーション コマンドを使用します。

例

次の例では、ポート ステートを auto に設定する方法を示します。

次の例では、ポート ステートを force-authorized に設定する方法を示します。

次の例では、ポート ステートを force-unauthorized に設定する方法を示します。

設定を確認するには、show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

コマンドのデフォルト

デフォルトのプライオリティは 802.1x 認証、MAC 認証バイパス、Web 認証の順となっています。

 

コマンドの履歴

 

使用上のガイドライン

順序付けによって、スイッチのポートに新しいデバイスを接続した場合に試行される認証方式の順序が決まります。

ポート上で複数のフォールバック方式を設定する場合は、Web 認証（webauth）を最後に設定します。

それぞれの認証方式にプライオリティを割り当てると、プライオリティの低い認証方式の実行中にプライオリティの高い認証方式を割り込ませることができます。

（注） クライアントがすでに認証されている場合でも、プライオリティの高い方式による割り込みが発生したときに再認証することが可能です。

認証方式のデフォルトのプライオリティは、実行順序に占める認証方式の位置に等しく、802.1x 認証、MAC 認証バイパス、Web 認証の順となります。このデフォルトの順序を変更するには、dot1x、mab、webauth の各キーワードを使用します。

例

次の例では、802.1x を最初の認証方式として、Web 認証を 2 番目の認証方式として設定する方法を示します。

次の例では、MAB を最初の認証方式として、Web 認証を 2 番目の認証方式として設定する方法を示します。

設定を確認するには、show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

inactivity、server、restart の各キーワードはオフに設定されています。reauthenticate キーワードは 1 時間に設定されています。

 

コマンドの履歴

 

使用上のガイドライン

タイムアウト値を設定しないと、802.1x セッションを許可した状態が続くことになります。この場合は、他のホストがそのポートを使用することも、接続されているホストが同じスイッチ上の別のポートに移動することもできません。

例

次の例では、認証非アクティビティ タイマーを 60 秒に設定する方法を示します。

次の例では、再認証タイマーを 120 秒に設定する方法を示します。

設定を確認するには、show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは認証違反シャットダウン モードがイネーブルになっています。

 

コマンドの履歴

例

次の例では、IEEE 802.1x 対応ポートを errordisable として設定し、新しいデバイスがそのポートに接続されたときにシャットダウンする方法を示します。

次の例では、新しいデバイスがポートに接続された場合にシステム エラー メッセージを生成し、制限モードに切り替わるように IEEE 802.1x 対応ポートを設定する方法を示します。

次の例では、新しいデバイスがポートに接続された場合にそのデバイスを無視するように IEEE 802.1x 対応ポートを設定する方法を示します。

設定を確認するには、show authentication 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

Auto-QoS は、ポート上でディセーブルに設定されています。

auto-QoS がイネーブルの場合は、 表 2-2 に示すように、入力パケットのラベルを使用して、トラフィックの分類、パケット ラベルの割り当て、および入力/出力キューの設定を行います。

表 2-3 に、入力キューに対して生成された Auto-QoS の設定を示します。

表 2-4 に、出力キューに対して生成される auto-QoS の設定を示します。

 

コマンドの履歴

 

使用上のガイドライン

QoS ドメイン内の VoIP トラフィックに適切な QoS を設定する場合は、このコマンドを使用します。QoS ドメインには、スイッチ、ネットワーク内部、QoS の着信トラフィックを分類することのできるエッジ装置などが含まれます。

auto-QoS はスイッチとルーテッド ポート上の Cisco IP Phone を使用した VoIP と、Cisco SoftPhone アプリケーションが動作する装置を使用した VoIP に対してスイッチを設定します。これらのリリースでは、Cisco IP SoftPhone バージョン 1.3(3) 以降のみがサポートされます。接続される装置は Cisco CallManager バージョン 4 以降を使用する必要があります。

show auto qos コマンドの出力には、Cisco IP Phone のサービス ポリシー情報が表示されます。

auto-QoS のデフォルトを使用するには、auto-QoS をイネーブルにしてから、その他の QoS コマンドを設定する必要があります。auto-QoS をイネーブルにした あと に、auto-QoS を調整できます。

（注） スイッチは、CLI（コマンドライン インターフェイス）からコマンドが入力された場合と同じように、auto-QoS によって生成されたコマンドを適用します。既存のユーザ設定では、生成されたコマンドの適用に失敗することがあります。また、生成されたコマンドで既存の設定が上書きされることもあります。これらのアクションは、警告を表示せずに実行されます。生成されたコマンドがすべて正常に適用された場合、上書きされなかったユーザ入力の設定は実行コンフィギュレーション内に残ります。上書きされたユーザ入力の設定は、現在の設定をメモリに保存せずに、スイッチをリロードすると復元できます。生成されたコマンドの適用に失敗した場合は、前の実行コンフィギュレーションが復元されます。

これが auto-QoS をイネーブルにする最初のポートの場合は、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドに続いてインターフェイス コンフィギュレーション コマンドが実行されます。別のポートで auto-QoS をイネーブルにすると、そのポートに対して auto-QoS によって生成されたインターフェイス コンフィギュレーション コマンドだけが実行されます。

最初のポートで auto-QoS 機能をイネーブルにすると、次の自動アクションが実行されます。

• QoS はグローバルにイネーブル化され（ mls qos グローバル コンフィギュレーション コマンド）、その他のグローバル コンフィギュレーション コマンドが追加されます。

スイッチ ポートが Cisco IOS Release 12.2(37)SE かそれよりも前のリリースで auto qos voip cisco-phone インターフェイス コンフィギュレーション コマンドを使用して設定された場合、auto-QoS によって Cisco IOS Release 12.2(40)SE に新しく生成されたコマンドは、ポートに適用されません。このようなコマンドを自動的に適用するには、設定を削除してからポートに再度適用する必要があります。

• Cisco SoftPhone が動作する装置に接続されたネットワーク エッジにあるポートに auto qos voip cisco-softphone インターフェイス コンフィギュレーション コマンドを入力した場合、スイッチはポリシングを使用してパケットがプロファイル内かプロファイル外かを判断し、パケットに対するアクションを指定します。パケットに 24、26、または 46 という DSCP 値がない場合、またはパケットがプロファイル外にある場合、スイッチは DSCP 値を 0 に変更します。スイッチは、ポートの入力キューと出力キューを、 表 2-3 および 表 2-4 の設定値に従って設定します。

• ネットワーク内部に接続されたポート上で、 auto qos voip trust インターフェイス コンフィギュレーション コマンドを入力した場合、スイッチは、入力パケットでルーティングされないポートの CoS 値、またはルーテッド ポートの DSCP 値を信頼します（トラフィックが他のエッジ装置ですでに分類されていることが前提条件になります）。スイッチは、ポートの入力キューと出力キューを、 表 2-3 および 表 2-4 の設定値に従って設定します。

スタティック ポート、ダイナミック アクセス ポート、音声 VLAN アクセス ポート、およびトランク ポートで auto-QoS をイネーブルにできます。ルーテッド ポートにある Cisco IP Phone で auto-QoS をイネーブルにする場合、スタティック IP アドレスを IP Phone に割り当てる必要があります。

（注） Cisco SoftPhone が動作する装置がスイッチまたはルーテッド ポートに接続されている場合、スイッチはポートごとに 1 つの Cisco SoftPhone アプリケーションのみをサポートします。

auto-QoS をイネーブルにしたあと、名前に AutoQoS を含むポリシー マップや集約ポリサーを変更しないでください。ポリシー マップや集約ポリサーを変更する必要がある場合、そのコピーを作成し、コピーしたポリシー マップやポリサーを変更します。生成されたポリシー マップの代わりに新しいポリシー マップを使用するには、生成したポリシー マップをインターフェイスから削除して、新しいポリシー マップを適用します。

auto-QoS がイネーブルのときに自動的に生成される QoS の設定を表示するには、auto-QoS をイネーブルにする前にデバッグをイネーブルにします。 debug auto qos 特権 EXEC コマンドを使用すると、auto-QoS のデバッギングがイネーブルになります。詳細については、 debug auto qos コマンドを参照してください。

ポートの auto-QoS をディセーブルにするには、no auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。このポートに対して、auto-QoS によって生成されたインターフェイス コンフィギュレーション コマンドだけが削除されます。auto-QoS をイネーブルにした最後のポートで、 no auto qos voip コマンドを入力すると、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドが残っている場合でも、auto-QoS はディセーブルとみなされます（グローバル コンフィギュレーションによって影響を受ける他のポートでのトラフィックの中断を避けるため）。 no mls qos グローバル コンフィギュレーション コマンドを使用して、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドをディセーブルにできます。QoS がディセーブルの場合、パケットが修正されなくなるため（パケットの CoS、DSCP、IP precedence の値は変更されない）、ポートの信頼性に関する概念はなくなります。トラフィックは Pass-Through モードでスイッチングされます（パケットは書き換えられることなくスイッチングされ、ポリシングなしのベスト エフォートに分類されます）。

例

次の例では、ポートに接続されているスイッチまたはルータが信頼できる装置である場合に、auto-QoS をイネーブルにし、着信パケットで受信した QoS ラベルを信頼する方法を示します。

設定を確認するには、 show auto qos interface interface-id 特権 EXEC コマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのコンフィギュレーション ファイルは、flash:config.text です。

 

コマンドの履歴

 

使用上のガイドライン

ファイル名およびディレクトリ名では、大文字と小文字が区別されます。

このコマンドは、CONFIG_FILE 環境変数の設定を変更します。詳細については、 付録 A「IE 3000 スイッチ ブートローダ コマンド」 を参照してください。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

ディセーブル。コンソール上で Break キーを押しても自動ブート プロセスを中断することはできません。

 

コマンドの履歴

 

使用上のガイドライン

このコマンドを入力すると、フラッシュ ファイル システムが初期化されたあとで Break キーを押すことにより、自動ブート プロセスを中断することができます。

（注） このコマンドの設定に関係なく、スイッチ前面パネルの MODE ボタンを押すと、いつでも自動ブート プロセスを中断できます。

このコマンドは、ENABLE_BREAK 環境変数の設定を変更します。詳細については、 付録 A「IE 3000 スイッチ ブートローダ コマンド」 を参照してください。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ヘルパー ファイルはロードされません。

 

コマンドの履歴

 

使用上のガイドライン

この変数は、内部開発およびテスト専用です。

ファイル名およびディレクトリ名では、大文字と小文字が区別されます。

このコマンドは、HELPER 環境変数の設定を変更します。詳細については、 付録 A「IE 3000 スイッチ ブートローダ コマンド」 を参照してください。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ヘルパー コンフィギュレーション ファイルは指定されません。

 

コマンドの履歴

 

使用上のガイドライン

この変数は、内部開発およびテスト専用です。

ファイル名およびディレクトリ名では、大文字と小文字が区別されます。

このコマンドは、HELPER_CONFIG_FILE 環境変数の設定を変更します。詳細については、 付録 A「IE 3000 スイッチ ブートローダ コマンド」 を参照してください。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

手動による起動はディセーブルです。

 

コマンドの履歴

 

使用上のガイドライン

次回システムを再起動すると、スイッチはブートローダ モードで起動します。このことは switch: プロンプトで確認できます。システムを起動するには、 boot ブート ローダ コマンドを使用して起動可能なイメージの名前を指定します。

このコマンドは、MANUAL_BOOT 環境変数の設定を変更します。詳細については、 付録 A「IE 3000 スイッチ ブートローダ コマンド」 を参照してください。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのコンフィギュレーション ファイルは、 private-config です。

 

コマンドの履歴

 

使用上のガイドライン

ファイル名は、大文字と小文字を区別します。

例

次の例では、プライベート コンフィギュレーション ファイルの名前を pconfig と指定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

スイッチは、BOOT 環境変数内の情報を使用して、自動的にシステムの起動を試みます。この変数が設定されていない場合、スイッチは、フラッシュ ファイル システム全体に再帰的な縦型検索を行って、最初の実行可能イメージをロードして実行しようとします。ディレクトリの縦型検索では、検出した各サブディレクトリを完全に検索してから元のディレクトリでの検索を続けます。

 

コマンドの履歴

 

使用上のガイドライン

ファイル名およびディレクトリ名では、大文字と小文字が区別されます。

archive download-sw 特権 EXEC コマンドを使用してシステム イメージを保存している場合、 boot system コマンドを使用する必要はありません。 boot system コマンドは自動的に処理され、ダウンロードされたイメージがロードされます。

このコマンドは、BOOT 環境変数の設定を変更します。詳細については、 付録 A「IE 3000 スイッチ ブートローダ コマンド」 を参照してください。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

チャネルグループは割り当てられません。

モードは設定されていません。

 

コマンドの履歴